A Iowa Consumer Data Protection Act (ICDPA, Iowa Code § 715D) tem um requisito específico para cookies de publicidade que vale destacar desde o início.

A lei lista como direito formal apenas o opt-out de venda de dados (§ 715D.3(1)(d)). Mas a Seção § 715D.4(6) exige que, se a empresa realiza publicidade direcionada, divulgue isso claramente e descreva como o consumidor pode exercer o opt-out dessa atividade.

Na prática, qualquer site com pixels de publicidade precisa oferecer opt-out de publicidade direcionada, mesmo que não seja tecnicamente um "direito" listado na mesma seção que os outros.

Este artigo foca exclusivamente no que a ICDPA exige da Política de Cookies.

O banner de cookies é a interface de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio aviso de consentimento.

Conforme § 715D.4(5)(b), o aviso de privacidade deve incluir a finalidade para o processamento de dados pessoais. Para cookies, cada categoria precisa de uma descrição de finalidade clara.

O que não funciona: "cookies para melhorar sua experiência."

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos a terceiros."

"Cookies de publicidade: coletam identificadores comportamentais enviados a plataformas de anúncios para publicidade direcionada em sites não afiliados. Os consumidores podem exercer opt-out pelo mecanismo descrito no aviso de privacidade."

A Política precisa listar as categorias:

Cookies necessários: essenciais para funcionamento básico. Não configuram publicidade direcionada ou venda. Precisam estar documentados.

Cookies de analytics: medem comportamento de navegação. Dependendo da ferramenta, podem configurar publicidade direcionada se os dados são enviados a terceiros para targeting em outros sites.

Cookies de publicidade: alimentam pixels de anúncio para publicidade direcionada em sites não afiliados. Exigem divulgação e opt-out conforme § 715D.4(6).

Cookies funcionais: lembram preferências. Geralmente não configuram publicidade direcionada ou venda.

Cookies de terceiros: disparados por serviços externos. A categorização correta de tags é o que permite documentar cada um com precisão.

Conforme § 715D.1(28), publicidade direcionada são anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo em sites ou aplicações não afiliados.

O que não configura publicidade direcionada:

Anúncios baseados em atividades dentro do próprio site ou sites afiliados.

Anúncios baseados no contexto da busca atual ou visita atual.

Anúncios em resposta a pedido de informação ou feedback do consumidor.

Processamento para medir desempenho, alcance ou frequência de anúncios.

Retargeting com dados de comportamento em outros sites quase sempre configura publicidade direcionada.

A ICDPA distingue:

Venda de dados (§ 715D.1(25)): troca de dados pessoais por contraprestação monetária a terceiros. O consumidor tem direito formal de opt-out.

Publicidade direcionada (§ 715D.1(28)): uso de dados de comportamento em sites não afiliados para selecionar anúncios. Não é um direito formal de opt-out listado em § 715D.3, mas o controlador é obrigado a divulgar e oferecer opt-out conforme § 715D.4(6).

Isso cria uma distinção operacional: a empresa precisa oferecer opt-out de publicidade direcionada como parte das obrigações de transparência, mesmo que o consumidor não possa formalmente "reivindicar" esse opt-out da mesma forma que pode reivindicar o opt-out de venda.

Conforme § 715D.4(5)(d) e (e), o aviso de privacidade deve identificar categorias de dados compartilhados com terceiros e categorias de terceiros com quem os dados são compartilhados.

Para cookies, isso inclui plataformas de publicidade digital, ferramentas de analytics que enviam dados a terceiros, e qualquer parceiro que receba dados comportamentais dos usuários do site.

A ICDPA não exige que a Política de Cookies especifique períodos de retenção de dados. Esse é um requisito da CPRA, mas não da ICDPA.

Incluir informações de retenção é boa prática para sites que atendem consumidores de outras jurisdições, mas não é exigido pela lei do Iowa.

Conforme § 715D.4(6), o controlador deve descrever claramente como o consumidor pode exercer o opt-out tanto de venda quanto de publicidade direcionada.

O formato do mecanismo de opt-out não é especificado. Pode ser um link no rodapé, um botão no aviso de cookies, ou um formulário online descrito no aviso de privacidade.

A Política de Cookies deve identificar esse mecanismo e descrever o que acontece quando o consumidor exerce o opt-out: quais tecnologias são desativadas.

Uma plataforma de gestão de consentimentos bem configurada garante que quando o usuário exerce o opt-out, todos os pixels e rastreadores correspondentes param de disparar automaticamente.

Conforme § 715D.1(26), dados sensíveis incluem geolocalização precisa (dentro de 1.750 pés) e dados biométricos para identificação.

Se o site coleta dados de geolocalização precisa via cookies, isso é dado sensível sob a ICDPA.

Para dados sensíveis, a ICDPA exige (§ 715D.4(2)):

Apresentar ao consumidor aviso claro antes de processar.

Oferecer oportunidade de opt-out.

Esse é o mesmo modelo de opt-out da UCPA. Não exige consentimento prévio, apenas informação e opt-out.

Se o Google Analytics envia dados do comportamento do usuário para o Google e esses dados são usados para publicidade em outros sites, isso pode configurar publicidade direcionada sob a ICDPA.

O Guia Orientativo da ANPD documentou como grandes provedores de analytics podem cruzar dados para fins publicitários.

A abordagem mais segura: incluir o Google Analytics na categoria de cookies que podem configurar publicidade direcionada, oferecer opt-out, e documentar essa categorização na Política de Cookies.

Situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros para targeting.

Novo parceiro que recebe dados comportamentais.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O mapeamento de dados contínuo é o que mantém o inventário sincronizado com o documento.

Antes de iniciar qualquer ação, o AG deve conceder 90 dias garantidos para correção (§ 715D.8(2)). Uma Política de Cookies inadequada pode ser corrigida dentro desse prazo se a empresa tiver processos estruturados.

Se a violação continuar após os 90 dias, as penalidades podem chegar a US$ 7.500 por violação.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não necessários, apresenta categorias com descrições claras, oferece opt-out de venda e publicidade direcionada, e documenta cada interação para fins de auditoria.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a ICDPA? Fale com a nossa equipe.

Link visível no rodapé e no banner de cookies.

Listagem das categorias de cookies com descrição do que cada uma faz.

Finalidade específica para cada categoria (§ 715D.4(5)(b)).

Identificação de cookies que configuram publicidade direcionada (§ 715D.1(28)).

Identificação de cookies que configuram venda de dados (§ 715D.1(25)).

Categorias de terceiros que recebem dados via cookies (§ 715D.4(5)(e)).

Mecanismo de opt-out de venda de dados, claro e acessível (§ 715D.3(1)(d) e 715D.4(6)).

Mecanismo de opt-out de publicidade direcionada, claro e acessível (§ 715D.4(6)).

Aviso e opt-out para dados sensíveis coletados via cookies (§ 715D.4(2)).

Idioma acessível, sem juridiquês.

1. A ICDPA exige opt-out de publicidade direcionada como direito formal?
Não formalmente listado em § 715D.3, mas obrigatório na prática. O § 715D.4(6) exige que, se o controlador realiza publicidade direcionada, divulgue isso claramente e descreva o método pelo qual o consumidor pode exercer o opt-out. Isso cria obrigação prática equivalente a um direito, mesmo que tecnicamente seja uma obrigação de transparência e não um direito listado formalmente. A Política de Cookies precisa oferecer esse opt-out.

2. Qual é a diferença entre opt-out de "venda" e opt-out de "publicidade direcionada" sob a ICDPA?
A "venda" de dados (§ 715D.1(25)) é a troca por contraprestação monetária, e o opt-out é um direito formal do consumidor em § 715D.3(1)(d). A "publicidade direcionada" (§ 715D.1(28)) é o uso de dados de comportamento em sites não afiliados para selecionar anúncios, e o opt-out é uma obrigação de transparência do controlador em § 715D.4(6), não um direito listado formalmente. Na prática, a Política de Cookies precisa oferecer opt-out para ambas as atividades, mas as bases legais são diferentes.

3. Cookies de analytics como o Google Analytics configuram publicidade direcionada sob a ICDPA?
Depende da configuração. Se o Google Analytics apenas gera relatórios internos de uso, geralmente não configura publicidade direcionada. Se os dados são usados pelo Google para fins publicitários em outros sites, pode configurar. A ICDPA define publicidade direcionada como anúncios baseados em dados obtidos "das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (§ 715D.1(28)). A configuração específica do GA4 e as opções de privacidade ativadas determinam se há publicidade direcionada.

4. A ICDPA usa o mesmo modelo de opt-out para dados sensíveis que a UCPA?
Sim. Tanto a ICDPA (§ 715D.4(2)) quanto a UCPA usam o modelo de opt-out para dados sensíveis: aviso claro e oportunidade de recusar antes de processar, sem exigir consentimento prévio. Esse modelo é diferente do opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA. Para dados de geolocalização precisa coletados via cookies, a Política de Cookies precisa informar e oferecer opt-out antes de ativar esses rastreadores.

5. O que acontece com o opt-out de publicidade direcionada após 90 dias?
A ICDPA não especifica um prazo específico para cessação após o opt-out de publicidade direcionada, além do prazo geral de 90 dias para resposta a solicitações (§ 715D.3(2)(a)). Na prática, uma plataforma de gestão de consentimentos bem configurada processa o opt-out de publicidade direcionada imediatamente, desativando os rastreadores correspondentes no momento em que o consumidor exerce a opção, sem esperar 90 dias.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a ICDPA? Fale com a nossa equipe.